L’Internet des objets (médicaux): dangers, risques et problèmes de sécurité

Vous avez peut-être entendu l’expression «votre santé est votre richesse». C’est l’une des raisons pour lesquelles les États-Unis ont dépensé plus de 3,2 billions de dollars en soins de santé rien qu’en 2015.

Avec autant d’argent flottant, il est tout à fait naturel que de nombreuses entreprises soient entrées sur le marché des soins de santé, y compris des entreprises technologiques.

La technologie médicale semble parfois dépassée, mais les entreprises ont l’intention de faire glisser ces appareils dans le 21e siècle. Et bien que la connectivité Internet puisse sembler être une excellente fonctionnalité, il existe de réels dangers et problèmes qui pourraient vous surprendre.

Que sont les dispositifs médicaux?

L’Organisation mondiale de la santé (OMS) définit un dispositif médical comme «tout instrument, appareil, instrument, machine, appareil, implant, réactif à usage in vitro, logiciel, matériel […] destiné par le fabricant à être utilisé […] pour les êtres humains, pour un ou plusieurs […] but médical spécifique ».

Bien que cela semble assez compliqué, cela signifie tout appareil ou logiciel pouvant être utilisé à des fins médicales.

La Food and Drug Administration des États-Unis (FDA) est responsable de la surveillance réglementaire des dispositifs médicaux et les divise en trois catégories: Classe I, Classe II et Classe III. Les appareils de classe 1 sont légèrement réglementés, la plupart des contrôles ne portant que sur leur fabrication et leur commercialisation. La classe II ajoute une réglementation plus spécifique et la classe III est réservée aux appareils qui soutiennent ou soutiennent la vie humaine.

Cependant, comme cela est typique dans le monde, la FDA a du mal à suivre le rythme de l’innovation. Il y a peu de références à la manière dont les appareils modernes connectés à Internet doivent être réglementés.

Quelles mesures les fabricants devraient-ils mettre en place pour assurer la sécurité de ces appareils? En décembre 2016, la FDA a publié des directives sur sécurité des dispositifs médicaux, mais elles ne sont pas juridiquement applicables. Cela laissait aux fabricants le choix de suivre ou non les conseils.

L’Internet des objets (médicaux)

Cela place les appareils médicaux connectés à Internet dans le même bateau que ceux de la catégorie plus large de l’Internet des objets (IoT). Les dispositifs médicaux IoT présentent de nombreux avantages, mais l’absence de réglementation applicable signifie que les fabricants ne sont pas susceptibles de consacrer de nombreuses ressources à leur sécurisation.

C’est une des nombreuses raisons pour lesquelles l’Internet des objets est un cauchemar pour la sécurité. De plus, nous plaçons littéralement notre vie entre les mains d’appareils médicaux IoT. En tant que tel, les enjeux sont encore plus élevés qu’avec les appareils IoT classiques.

Les soins de santé sont une entreprise coûteuse, non seulement pour les patients, mais pour les prestataires eux-mêmes. Les entreprises facturent de vastes sommes d’argent pour de nouveaux appareils et un support technique. Cela signifie que les hôpitaux et autres cabinets médicaux sont un fouillis d’outils – certains nouveaux, certains anciens avec une gamme d’exigences opérationnelles différentes. L’ancien matériel, les logiciels hérités et les interfaces propriétaires se réunissent pour faire de la sécurisation appropriée du système un cauchemar pour le service informatique du fournisseur.

Exemple: écoute sur une pompe médicale

L’interface entre le logiciel et le matériel expose souvent des vulnérabilités exploitables, comme Saurabh Harit présenté au Black Hat Europe 2017. Il a obtenu une pompe à perfusion IV, qui injecte des médicaments dans le sang d’un patient, qui pourraient être programmés et opérés à distance.

Après avoir accédé au mode administrateur de la pompe avec un mot de passe par défaut trouvé en ligne, il a pu utiliser l’infrarouge de l’appareil et un ancien PDA acheté auprès d’eBay pour importer leurs informations d’identification Wi-Fi dans les paramètres réseau de la pompe.

À l’aide de Wireshark (l’un des nombreux outils de sécurité réseau open source) pour inspecter les paquets, Harit a consulté les données des patients comme la dose de médicament, le soignant, le nom, l’emplacement et l’itinéraire. Étonnamment, il a même pu accéder à la liste principale des médicaments qui définit et maintient la posologie prescrite.

La liste des exemples continue…

Si de telles vulnérabilités étaient limitées à cette seule pompe, ce serait assez choquant, mais les chercheurs en découvrent régulièrement de nouvelles. Une équipe a pu accéder à un scanner CT, un appareil qui vous donne une petite dose de rayonnement pour créer des modèles 3D de l’intérieur de votre corps.

En août 2017, le La FDA a rappelé 465 000 stimulateurs cardiaques faite par Abbott sur les préoccupations de piratage. Au lieu de forcer près d’un demi-million de personnes à subir une chirurgie invasive, Abbott a publié un patch micrologiciel, que le personnel médical a pu appliquer au stimulateur cardiaque.

En 2014, le Department for Homeland Security (DHS) a commencé enquête sur 24 appareils sur des failles critiques suspectées. Les dispositifs comprenaient une pompe à perfusion d’Hospira Inc et des dispositifs cardiaques implantables de Medtronic et St Jude Medical.

Dispositifs médicaux hérités et mauvaise sécurité

Si vous avez déjà travaillé dans un bureau, vous savez que de nombreuses entreprises utilisent des logiciels hérités. Cela nécessite invariablement des systèmes d’exploitation, des pilotes et des périphériques plus anciens, ce qui les rend très peu sûrs. Le coût est généralement un facteur décisif dans la mise à jour, et beaucoup décident qu’ils ne peuvent pas justifier la dépense. Si ce n’est pas cassé, ne le réparez pas, non?

Les entreprises ont souvent du mal à donner la priorité à la cybersécurité, avec une attitude dominante selon laquelle si une attaque n’a pas encore eu lieu, elle ne le sera pas. Malheureusement, les prestataires de soins de santé ne sont pas non plus à l’abri de cette façon de penser. En mai 2017, une attaque de ransomware, surnommée WannaCry, a infecté presque simultanément 300 000 ordinateurs, dont beaucoup appartiennent au National Health Service (NHS) du Royaume-Uni.

Le ransomware a affecté plus de 40 NHS Trusts à travers le pays, réduisant les soins aux patients, fermant les chirurgies et même fermant les hôpitaux. Les effets de l’attaque ont mis les patients en danger et potentiellement compromis la sécurité de leurs données. Malheureusement, Microsoft a publié un correctif un mois avant l’attaque, ce qui aurait empêché WannaCry de s’installer. Non seulement la mise à jour n’a pas été déployée, mais il s’est avéré que de nombreux ordinateurs fonctionnaient toujours sous Windows XP.

C’est malgré la prise en charge prolongée du système d’exploitation de 15 ans ayant pris fin deux ans avant l’attaque.

L’avenir des dispositifs médicaux me fait peur

La technologie continue de fournir des avancées significatives dans le traitement médical, mais ce n’est pas la grâce salvatrice du secteur médical comme l’a découvert le NHS britannique. Selon le secrétaire à la santé du gouvernement, Jeremy Hunt, 270 femmes sont peut-être mortes après une «erreur d’algorithme informatique» n’a pas réussi à inviter 450 000 femmes à un dépistage régulier du cancer du sein.

Contrairement à de nombreux autres domaines touchés par les progrès technologiques, les dispositifs médicaux peuvent être une question de vie ou de mort. La loi de Moore autorisant la mise en ligne d’un plus grand nombre d’appareils dans les années à venir, les fabricants doivent prioriser la sécurité. Après tout, il n’est pas bon de concevoir une «fonction de tueur» si cela s’avère être une description extrêmement précise.